skills-scanner は何をしますか？
AIエージェントスキル、MCPサーバー、エージェントハーネス設定（Claude / Cursor / Windsurf / Codex / Gemini）向けのセキュリティスキャナー。HTS-ASPMの一部です。
概要
このスキャナーは、AIエージェントのカスタムスキル、MCP（Model Context Protocol）サーバー実装、エージェントハーネス構成ファイルを自動的に分析し、セキュリティ上の脆弱性や悪意のあるコードを検出します。以下のプラットフォームをサポートしています：
- Claude Code - コード生成と実行スキル
- Cursor - IDE統合エージェント設定
- Windsurf - ワークフロー自動化スキル
- Codex - コード補完と操作スキル
- Gemini - マルチモーダルエージェント機能
主な機能
- マルウェア検出: スキルパッケージ内の悪意のあるコードパターンをスキャン
- トロイの木馬分析: 正規の機能を装った不正コードを識別
- データ漏洩チェック: 機密情報の意図しない漏洩を防止
- プロンプトインジェクション対策: 悪意のあるプロンプト操作を検出
- 依存関係検証: サードパーティ依存関係の既知の脆弱性をチェック
- 構成ミス検出: 安全でないデフォルト設定や権限設定を特定
使用方法
# スキルファイルをスキャン
npx hts-aspm-skills-scanner scan ./skills/*.yml
# MCPサーバー設定をスキャン
npx hts-aspm-skills-scanner scan --mcp ./mcp-servers/
# 特定のプラットフォームのみスキャン
npx hts-aspm-skills-scanner scan --platform cursor,codex
出力例
{
"scanned": [
{"file": "skills/my-agent.yml", "status": "pass"},
{"file": "mcp-servers/data-api.js", "status": "warn", "findings": ["疑似リバースシェル検出"]}
],
"summary": {"passed": 1, "warnings": 1, "errors": 0}
}
詳細設定
環境変数 HTS_ASPM_SCANNER_LEVEL でスキャン厳格度を設定できます（basic、standard、strict）。basic は一般的なパターンのみ、strict は疑わしいすべてのパターンを報告します。
制限事項
- 動的に生成されるコード（実行時評価）の一部を完全に検出できない場合があります。
- 新しい攻撃パターンに対応するため、定期的なルール更新が必要です。
関連リソース
ライセンス
MIT